Microsoft maakt weer "per ongeluk" vergeten lek bekend, dit keer in Defender
Microsoft heeft opnieuw het bestaan van een "per ongeluk" vergeten kwetsbaarheid bekendgemaakt. Het gaat om een beveiligingslek in de antivirussoftware Defender, aangeduid als (CVE-2023-24934). Via het beveiligingslek kan een aanvaller door middel van een speciaal geprepareerd bestand detectie door de Defender-virusscanner voorkomen.
Microsoft had tijdens de patchdinsdag van april beveiligingsupdates voor het probleem uitgebracht, maar het bestaan van de kwetsbaarheid niet bekendgemaakt. Dat is nu alsnog gedaan. Microsoft maakte tijdens de patchronde van april verschillende beveiligingslekken bekend die het eerder al had gepatcht. Het gaat om kwetsbaarheden in Microsoft SQL Server, Windows Graphics Component en Windows Remote Procedure Call Service.
Vanwege de "per ongeluk" vergeten update voor SQL Server kreeg Microsoft nog felle kritiek van securitybedrijf ZDI, dat het techbedrijf betichtte van het "stilletjes patchen" van kwetsbaarheden.
Microsoft is een bedrijf dat workflow management tools levert aan bedrijven. Als ze in beginsel wel publiceren en daar alleen van afwijken als er een zwaarwegende reden voor is dan stel ik me voor dat ze een workflow hebben ingericht waarin de identificatie en omschrijving van een patch volautomatisch in de gepubliceerde documentatie van een patchdinsdag belanden, tenzij iemand expliciet aanvraagt dat dat onderdrukt wordt, met opgave van die zwaarwegende reden, en iemand met de bevoegdheid daartoe het onderdrukken goedkeurt.
Zoals Microsoft zelf zegt over Workflow Automation and Management: get work done faster; improve accuracy; make people happier; track your work; simplify reporting.
Dus: Passen ze hun eigen tools om processen betrouwbaarder te maken niet zelf toe? Of doen ze het maar halfslachtig? Geloven ze zelf niet in wat ze aan hun klanten verkopen? Of gebruiken ze het allemaal wel goed en jokken ze dat ze het "vergeten" zijn? Als je een goede reden hebt om de bekendmaking uit te stellen tot een tijdje na de patch, waarom zou je die reden verzwijgen op het moment dat je het bekendmaakt? Dat soort vragen roept dit bij me op.
Fabrikant: Nee er is geen probleem bekend.
Constatering: 2 maanden later, het probleem is weg na een update.
Klant: Hadden jullie toch een probleem?
Fabrikant: Ja dat was al 6 maanden geleden bekend.
Klant: WTF...
Niet alleen een probleem van Microsoft vrees ik, ook hardware fabrikanten kunnen er wat van.
Ben tegenwoordig al blij dat er niets fout gaat na de update.(beetje overdreven natuurlijk).
Dus ik verwacht nog wel 10 tallen van dit soort meldingen.
Dus ik verwacht nog wel 10 tallen van dit soort meldingen.
Niet alleen Microsoft, ook Google en Apple en verschillende Open Source bouwers hebben regelmatig lekken verzwegen. Ik kan me daar nog iets bij voorstellen, als je het bekend maakt vergroot je de kans op misbruik.
In dit geval hebben ze iets gepatched zonder te vertellen dat ze iets patchen daar heb ik persoonlijk minder moeite mee dan actief misbruikte lekken stil houden.
Dus ik verwacht nog wel 10 tallen van dit soort meldingen.
Niet alleen Microsoft, ook Google en Apple en verschillende Open Source bouwers hebben regelmatig lekken verzwegen. Ik kan me daar nog iets bij voorstellen, als je het bekend maakt vergroot je de kans op misbruik.
In dit geval hebben ze iets gepatched zonder te vertellen dat ze iets patchen daar heb ik persoonlijk minder moeite mee dan actief misbruikte lekken stil houden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?